グッドスマイルカンパニーの公式ECサイトへのサイバー攻撃により、10月21〜23日にサイトを利用したユーザーのクレジットカード情報が流出した可能性がある。同社の報告によると、10月23日午前6時ごろ、システム開発・保守契約を結んでいる企業から、10月19日午後3時から10月22日午後10時までの不正アクセスにより管理情報が閲覧可能だったとの報告を受けた。報告を受け即座にサイトを閉鎖した。アクセス可能だった情報には、住所、氏名、性別、電話番号、メールアドレス、商品名と価格、配送情報、クレジットカード情報の一部が含まれていた。

合計40万2466件のカード情報が流出した可能性があると判明した。追加調査の結果、10月21日13時55分にクレジットカード決済ページに配置された不正プログラムにより、同日同時刻から10月23日午前7時までにカード情報を入力したユーザーのデータが窃取された可能性が判明した。流出し得る情報には、カード名義人名、16桁のカード番号、有効期限、セキュリティコードが含まれていた。影響を受けたユーザー数は2800人と特定された。

同社はカスタマーサポートフォームを通じて問い合わせに対応している。Amazon PayやPayPalなどの外部決済サービスを利用したユーザーについてはカード情報を保存していないと説明している。楽天市場および「ねんどろいどフェイスメーカー」は別システムで運用されており、今回の影響はないとしている。